200 аэропортов и один пароль. Cлучайная утечка едва не парализовала мировую авиацию

Одна утекшая учетная запись едва не открыла злоумышленникам доступ к внутренним системам почти двухсот аэропортов по всему миру. Речь идет не о взломе в привычном смысле, а о куда более тревожной истории с цепочкой подрядчиков и отсутствием базовой защиты входа. Проблему обнаружила компания SVigil во время мониторинга подпольных форумов.

Современные аэропорты работают на общих цифровых платформах, которые управляют регистрацией пассажиров, багажными системами, терминалами самообслуживания и служебными устройствами. Такие решения поставляют специализированные ИТ-компании. Чтобы все работало без задержек, подрядчикам и сервисным фирмам часто дают прямой доступ к служебным панелям. В итоге возникает распределенная модель доверия, где надежность всей системы зависит от самого слабого звена.

Именно таким звеном оказалась сервисная компания четвертого уровня. Это подрядчик подрядчика основного ИТ-поставщика аэропорта. В сеть утекли логин и пароль одного из системных инженеров этой фирмы. Данные появились на закрытом форуме. Этого оказалось достаточно, чтобы войти в главный служебный портал операционной поддержки, который использовался более чем в 200 аэропортах. Дополнительного подтверждения входа не было. Двухфакторная аутентификация оказалась не включена.

Доступ открывал не один сервер, а фактически живую карту всей инфраструктуры. Через панель можно было видеть перечень серверов и сетевого оборудования с внутренними адресами и ролями, состояние киосков регистрации, принтеров посадочных талонов и багажных бирок в реальном времени, а также загрузку процессоров, памяти и дисков на ключевых узлах. Отображались даже параметры работы баз данных, которые обслуживают пассажирские сервисы. Более того, из интерфейса можно было запускать сетевые диагностические команды внутри доверенной сети аэропорта, что удобно для внутренней атаки на отказ в обслуживании.

При таком уровне доступа атакующему не требовались вредоносные программы или фишинг. Достаточно было учетной записи. Через служебные инструменты можно было перегружать самые загруженные терминалы самообслуживания в часы пик и выводить их из строя на несколько часов. Другой вариант связан с нарушением работы системы сверки багажа и рейсов. Без нее вылеты запрещены правилами, что привело бы к массовым задержкам. Самый тяжелый сценарий предполагает одновременные атаки на несколько крупных узловых аэропортов с эффектом цепной реакции по всему миру. Потери в таком случае могли бы измеряться сотнями миллионов долларов.

Даже без реального вторжения последствия были бы серьезными. Сбой регистрации, посадки и обработки багажа, рост числа потерянных чемоданов, штрафы авиакомпаниям за задержки, падение сопутствующей выручки от магазинов и сервисов, проверки со стороны авиационных регуляторов и удар по репутации. Достаточно было бы заголовков о компрометации систем аэропортов через подрядчика.

После обнаружения проблемы учетные данные отозвали, для внешних подключений срочно включили многофакторную проверку входа и начали проверку всех сторонних учетных записей. История показала, что уязвимость возникла не из-за сложной техники, а из-за отсутствия базовых мер защиты и контроля подрядчиков. Одна пара логин и пароль в длинной цепочке поставщиков могла обойтись отрасли очень дорого.